10 błędów podczas przygotowań do KSC - przykłady i sposoby ich naprawienia

W skrócieDziesięć błędów podczas przygotowań do ustawy o krajowym systemie cyberbezpieczeństwa (KSC) dotyczy głównie statusu podmiotu, decyzji zarządu, dowodów i terminów. To m.in. pominięte spółki z grupy, bierność po terminie wpisu, kupione dokumenty, zarząd bez szkolenia, nietestowane kopie i źle liczone 24 godziny. Naprawę warto zakończyć przed 3 kwietnia 2027 r., gdy mija termin rozdziału 3.

Termin wniosków o wpis do wykazu minął 3 października 2026 r., a do 3 kwietnia 2027 r. podmioty, które w dniu wejścia w życie nowelizacji spełniały przesłanki uznania za podmiot kluczowy albo podmiot ważny, muszą wykonać obowiązki z rozdziału 3 ustawy o KSC: wdrożyć system zarządzania bezpieczeństwem informacji (SZBI), przygotować dokumentację i zgłaszanie incydentów (art. 33 ust. 1 ustawy nowelizującej z 23 stycznia 2026 r.). Na poprawki zostało więc kilka miesięcy, a błąd popełniony na starcie, np. w klasyfikacji albo w podziale ról, przenosi się na wszystkie kolejne etapy.

Zebraliśmy dziesięć błędów, których skutki wynikają wprost z przepisów i ze stanowisk Ministerstwa Cyfryzacji: od klasyfikacji podmiotu, przez dokumenty i decyzje zarządu, po kopie zapasowe i zegar zgłoszeń. Każdy opisujemy tak samo: fikcyjny przykład, konsekwencje z numerem przepisu i działania naprawcze. Jeśli potrzebujesz najpierw obrazu całości, zacznij od naszego przewodnika po NIS2 i ustawie o KSC.

Jedna uwaga o karach: większość kar z ustawy może zostać nałożona po raz pierwszy dopiero po 3 kwietnia 2028 r. (art. 35 ustawy nowelizującej). Ten przepis nie przesuwa terminów obowiązków i nie obejmuje środków nadzorczych z art. 53, więc nie jest argumentem za czekaniem.

Błędy 1-2: klasyfikacja podmiotu i wpis do Wykazu KSC

Dwa pierwsze błędy dotyczą punktu wyjścia: czy organizacja w ogóle podlega ustawie, w jakiej kategorii i czy jest w wykazie podmiotów kluczowych i podmiotów ważnych (Wykaz KSC). Od tego zależą wszystkie dalsze obowiązki.

Błąd 1. Zła klasyfikacja: sektor, wielkość i spółki z grupy

Przykład. Spółka zbierająca odpady zatrudnia 42 osoby, więc zarząd uznał, że jako mała firma nie podlega ustawie. Pominął, że 60% udziałów ma spółka dominująca z tej samej branży, która zatrudnia 120 osób i razem z nią obsługuje kontrakty gminne na wspólnym systemie zleceń i rozliczeń.

Konsekwencje. Przy ustalaniu wielkości dane przedsiębiorstw powiązanych dolicza się w całości, a partnerskich proporcjonalnie (art. 6 ust. 2 załącznika I do rozporządzenia Komisji (UE) nr 651/2014, do którego odsyła art. 5 ustawy). Po zsumowaniu spółka ma 162 osoby, więc nie jest już małym przedsiębiorstwem, a w sektorze wymienionym w załączniku nr 2 oznacza to status podmiotu ważnego (art. 5 ust. 2 pkt 2). Wyjątek dla podmiotu, którego system informacyjny jest niezależny od systemów spółek z grupy lub który nie świadczy z nimi usług wspólnie (art. 5 ust. 7), tu nie zadziała. Firma nie złożyła wniosku o wpis i nie przygotowuje obowiązków z rozdziału 3, a termin 3 kwietnia 2027 r. nie zależy od tego, kiedy zarząd zauważy swój status (art. 33 ust. 1 ustawy nowelizującej). Organ może wpisać ją do wykazu z urzędu (art. 7j ust. 1) albo zażądać informacji potrzebnych do oceny statusu (art. 43 ust. 1), a za ich nieprzekazanie przewidziano karę 50 000 zł (art. 73b ust. 1 pkt 4 i ust. 4), możliwą po 3 kwietnia 2028 r. Odwrotne błędy też kosztują: producent maszyn z 400 osobami, działający w sektorze z załącznika nr 2, jest co do zasady podmiotem ważnym bez okresowego audytu, a dostawca usług zarządzanych w zakresie cyberbezpieczeństwa jest podmiotem kluczowym już jako mały przedsiębiorca (art. 5 ust. 1 pkt 3).

Jak naprawić:

1. Ustal sektor według kolumny „Rodzaj podmiotu” w załączniku nr 1 i w załączniku nr 2 do ustawy, a nie tylko według kodu PKD.
2. Policz wielkość z danymi spółek powiązanych i partnerskich, według stanu na dzień sporządzenia sprawozdania finansowego (art. 5 ust. 5). Ministerstwo zalicza do personelu także osoby na umowach cywilnoprawnych (odpowiedź 1.5).
3. Jeżeli korzystasz z wyjątku z art. 5 ust. 6-7, opisz, dlaczego system jest niezależny lub usługi nie są świadczone wspólnie. Ministerstwo podkreśla, że powinno to być „należycie udokumentowane” (odpowiedź 1.6).
4. Wynik zapisz w notatce zatwierdzonej przez zarząd i od razu złóż wniosek o wpis, jeżeli organizacja podlega ustawie.

Procedurę z listą kontrolną opisujemy w artykule czy moja firma podlega KSC i jak to sprawdzić krok po kroku.

Błąd 2. Bierność po przegapieniu terminu wpisu do wykazu

Przykład. Hurtownia spożywcza zatrudniająca 90 osób ustaliła 9 października 2026 r., że jako podmiot ważny powinna była złożyć wniosek o wpis do 3 października. Prezes zdecydował: skoro termin minął, czekamy, aż urząd się odezwie, a projekt wstrzymujemy.

Konsekwencje. Termin wniosków dla podmiotów, które spełniały przesłanki w dniu wejścia w życie nowelizacji, minął 3 października 2026 r. (art. 33 ust. 3 ustawy nowelizującej i komunikat Ministra Cyfryzacji w Dz. Urz. MC 2026 poz. 7). Do 12 października 2026 r. minister nie ogłosił zmiany harmonogramu. Za niezłożenie wniosku w terminie z art. 7c ust. 1 (6 miesięcy od spełnienia przesłanek, czyli według naszej lektury także do 3 października 2026 r.) organ „może” nałożyć karę na podmiot, „jeżeli przemawia za tym waga i znaczenie naruszonych przepisów” (art. 73 ust. 1a pkt 1), a karę może ponieść także kierownik (art. 73a ust. 1 pkt 1). Kara dla kierownika z art. 73a jest wprost objęta art. 35 ustawy nowelizującej, więc jest możliwa dopiero po 3 kwietnia 2028 r. To samo, według naszej lektury, dotyczy kary dla podmiotu z art. 73 ust. 1a. Organ może też sam wpisać firmę do wykazu i wezwać ją do uzupełnienia danych w ciągu 6 miesięcy pod rygorem kary (art. 7j ust. 1 i 3). Najgorsze w bierności jest jednak co innego: obowiązki nie czekają na wpis. Ministerstwo pisze wprost, że termin 3 października „dotyczy wyłącznie wpisu do wykazu”, a terminy obowiązków liczy się od spełnienia przesłanek (odpowiedź 2.31). Do tego przestrzeń w systemie S46 Cyber Hub, przez który przekazuje się zgłoszenia incydentów (art. 11 ust. 2), powstaje automatycznie po wpisie do wykazu (informacja na stronie systemu S46).

Jak naprawić:

1. Złóż wniosek od razu. Ministerstwo przypomina: „Samorejestracja dostępna jest dla podmiotów przez cały czas” (odpowiedź 2.32). Wniosek zawiera oświadczenie kierownika składane pod rygorem odpowiedzialności karnej (art. 7c ust. 5) i wymaga podpisu elektronicznego (art. 7c ust. 6). Instrukcję opublikowało Ministerstwo Cyfryzacji na gov.pl.
2. Zapisz w protokole zarządu, kiedy i jak ustalono status oraz dlaczego wniosek wpłynął po terminie. Wymierzając karę, organ bierze pod uwagę m.in. czas trwania naruszenia i współpracę podmiotu z organem (art. 76a ust. 1 w związku z art. 53 ust. 12), a gdy waga naruszenia i znaczenie naruszonych przepisów są znikome, a naruszenie ustało, może od kary odstąpić (art. 76a ust. 9).
3. Nie wstrzymuj prac nad rozdziałem 3. Termin 3 kwietnia 2027 r. biegnie niezależnie od wpisu.
4. Po wpisie skonfiguruj dostęp do S46 dla osób, które będą zgłaszać incydenty.

Błędy 3-4: analiza ryzyka z szablonu i kupiona dokumentacja

Kolejne dwa błędy łączy jedno: dokumenty istnieją, ale nie opisują rzeczywistej organizacji. Ustawa wymaga systemu, który działa, a ministerstwo podkreśla, że liczą się dowody stosowania przepisów, a nie forma.

Błąd 3. Analiza ryzyka z szablonu

Przykład. Miejskie wodociągi wypełniły arkusz ryzyka pobrany z internetu: 40 zagrożeń, przy każdym ocena „średnie”, bez wskazania, których systemów dotyczą. W arkuszu nie ma systemu sterowania stacją uzdatniania ani zdalnego dostępu serwisanta pomp, a od podpisania nikt go nie aktualizował.

Konsekwencje. SZBI ma zapewniać „prowadzenie systematycznego szacowania ryzyka wystąpienia incydentu oraz zarządzanie tym ryzykiem” (art. 8 ust. 1 pkt 1), a szacowanie ryzyka to według ustawy „całościowy proces identyfikacji, analizy i oceny ryzyka” (art. 2 pkt 13). Lista bez systemów, scenariuszy i decyzji tego nie spełnia. Skutek wykracza poza jeden dokument: środki techniczne i organizacyjne mają być proporcjonalne „do oszacowanego ryzyka” (art. 8 ust. 1 pkt 2), więc bez rzetelnej analizy trudno obronić zarówno wydatki, jak i zaniechania. Za brak systematycznego szacowania ryzyka ustawa przewiduje karę dla podmiotu (art. 73 ust. 1 pkt 2) i kierownika (art. 73a ust. 1 pkt 2). Ministerstwo przypomina, że organizacja „musi być świadoma swoich aktywów, ryzyk, cyberzagrożeń i dopasować adekwatne środki techniczne i organizacyjne ograniczające ryzyko” (odpowiedź 3.7).

Jak naprawić:

1. Zacznij od usług i procesów, a potem przypisz do nich systemy (odpowiedź 3.4), także sterowanie i zdalne dostępy dostawców.
2. Buduj scenariusze z realnych źródeł: komunikatów zespołów reagowania na incydenty (CSIRT), własnych incydentów, informacji od dostawców (art. 8 ust. 1 pkt 3).
3. Oceniaj skutki także dla odbiorców usługi, bo przy doborze środków ustawa każe uwzględnić skutki społeczne i gospodarcze (art. 8 ust. 1 pkt 2).
4. Przy każdym ryzyku zapisz decyzję, właściciela i termin, a akceptację ryzyk przedstaw kierownikowi (art. 8d pkt 1).
5. Ustal rytm przeglądów, np. raz w roku oraz po każdej istotnej zmianie i po incydencie.

Błąd 4. Kupiona dokumentacja „zgodna z NIS2”

Przykład. Firma kurierska zatrudniająca 300 osób kupiła pakiet 30 polityk. Zarząd podpisał je w jeden dzień. Procedura obsługi incydentów wskazuje stanowisko, którego w firmie nie ma, a polityka kopii zapasowych obiecuje cotygodniowe testy odtworzenia, których nikt nie robi.

Konsekwencje. Ministerstwo Cyfryzacji odpowiada na to pytanie wprost: „Kupiona dokumentacja, podpisana przez zarząd i schowana w «szafie NIS2» nie zapewni realnego cyberbezpieczeństwa w organizacji” (odpowiedź 3.7). Ustawa wymaga dokumentacji, którą podmiot „opracowuje, stosuje i aktualizuje” (art. 10 ust. 1), a obok dokumentacji normatywnej także operacyjnej. Dokumentację operacyjną stanowią „zapisy poświadczające wykonywanie czynności wymaganych przez postanowienia zawarte w dokumentacji normatywnej” (art. 10 ust. 4). Polityka, która obiecuje testy, a nie ma protokołów z testów, sama pokazuje lukę. Przy kontroli liczy się „udowodnienie stosowania przepisów ustawy a nie przedstawienie formalnie poprawnych dokumentów” (odpowiedź 11.6). Za niewykonywanie obowiązków z art. 10 ust. 1 karę przewidziano dla podmiotu (art. 73 ust. 1 pkt 4) i kierownika (art. 73a ust. 1 pkt 8).

Jak naprawić:

1. Traktuj kupiony pakiet jak szkic. Każdy dokument dopasuj do usług, ról i systemów organizacji, a zbędne usuń.
2. Przy każdej polityce i procedurze wpisz, jaki zapis ma powstawać (rejestr, protokół, log) i kto go prowadzi.
3. Usuń obietnice, których nie spełnisz, albo zaplanuj ich realizację z terminem.
4. Ustanów nadzór nad dokumentacją: dostęp tylko dla upoważnionych, ochrona przed utratą, oznaczanie wersji (art. 10 ust. 6).
5. Po trzech miesiącach stosowania sprawdź na próbce, czy zapisy rzeczywiście powstają.

Pełną mapę dokumentów wymaganych przez ustawę opisujemy w artykule o tym, jakie dokumenty przygotować do wdrożenia KSC.

Błędy 5-6: zarząd bez decyzji i kierownik bez szkolenia

Te dwa błędy dotyczą osób, które ustawa wskazuje z nazwy: kierownika podmiotu i członków organu zarządzającego. Odpowiedzialności za ich obowiązki nie da się przenieść na dział IT ani na dostawcę.

Błąd 5. Wszystko oddane do IT bez decyzji zarządu

Przykład. Zarząd zakładu przetwórstwa mięsa przesłał kierownikowi IT jedno zdanie: „zajmij się NIS2”. Dział IT kupił narzędzia i napisał procedury, ale nikt nie zatwierdził analizy ryzyka, budżetu ani podziału zadań, a w protokołach zarządu temat nie występuje.

Konsekwencje. Kierownik podmiotu „ponosi odpowiedzialność” za obowiązki z ustawy, w tym za SZBI, szkolenie, incydenty i audyt (art. 8c ust. 1), także wtedy, gdy powierzył je innej osobie za jej zgodą (art. 8c ust. 3). Jeżeli zarząd jest wieloosobowy i nie wskazano osoby odpowiedzialnej, odpowiadają wszyscy jego członkowie (art. 8c ust. 2). Ustawa nie zostawia zarządowi roli obserwatora: kierownik podejmuje decyzje w zakresie przygotowania, wdrażania, przeglądu i nadzoru SZBI, planuje środki finansowe, przydziela zadania i nadzoruje ich wykonanie (art. 8d pkt 1-3). Brak śladu tych decyzji to brak dowodu wykonania art. 8d. Karę dla kierownika do 300% wynagrodzenia, a w podmiocie publicznym do 100%, przewiduje art. 73a ust. 1 pkt 3 i ust. 4-5, z pierwszym możliwym terminem po 3 kwietnia 2028 r. W podmiocie kluczowym, który nie wykonuje nakazów organu, ustawa dopuszcza nawet czasowy zakaz pełnienia funkcji zarządczych przez kierownika (art. 53 ust. 9 pkt 6, nie dotyczy podmiotów publicznych), a tego środka moratorium z art. 35 ustawy nowelizującej nie obejmuje.

Jak naprawić:

1. Podejmij uchwałę: kto w zarządzie odpowiada za cyberbezpieczeństwo (art. 8c ust. 2), jaki jest budżet (art. 8d pkt 2) i kto wykonuje zadania (art. 8d pkt 3).
2. Zatwierdzanie analizy ryzyka, akceptację ryzyk i polityk wpisuj do protokołów z datą.
3. Wprowadź stały punkt posiedzeń, np. raz na kwartał: stan SZBI, incydenty, wykonanie budżetu.
4. Rozpisz podział ról: zarząd decyduje i nadzoruje, dział IT albo CISO, czyli osoba kierująca bezpieczeństwem informacji, wykonuje, a dostawca wspiera według umowy.

Szczegółowy podział decyzji opisujemy w tekście o tym, za co odpowiada zarząd, a za co dział IT.

Błąd 6. Kierownik bez szkolenia z art. 8e i szkolenia bez dowodów

Przykład. W spółce z trzyosobowym zarządem szkolenie przeszedł tylko członek zarządu nadzorujący IT. Dwaj pozostali byli na krótkiej prezentacji podczas posiedzenia, z której nie zachował się ani program, ani lista obecności.

Konsekwencje. Ustawa mówi: „Kierownik podmiotu kluczowego lub podmiotu ważnego oraz osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, raz w roku kalendarzowym przechodzi szkolenie” (art. 8e ust. 1). Kierownikiem w spółce kapitałowej jest członek zarządu, a przy zarządzie wieloosobowym jego członkowie (art. 2 pkt 8a ustawy o KSC w związku z art. 3 ust. 1 pkt 6 ustawy o rachunkowości), więc w naszej ocenie obowiązek dotyczy każdego z nich. Zakres szkolenia obejmuje m.in. wykaz, SZBI, obowiązki kierownika, incydenty i audyt (art. 8e ust. 2), a „udział w szkoleniu jest udokumentowany” (art. 8e ust. 3). Prezentacja bez programu i bez listy obecności trudno spełnia oba warunki. Za niewykonanie art. 8e kierownikowi może grozić kara, jeżeli przemawia za tym czas, zakres lub charakter naruszenia (art. 73a ust. 1 pkt 4), możliwa po 3 kwietnia 2028 r. Według stanowiska ministerstwa (odpowiedź 3.46) podmioty z 3 kwietnia 2026 r. muszą przeprowadzić pierwsze szkolenie kierownika najpóźniej w 2027 r.

Jak naprawić:

1. Sporządź listę osób: wszyscy członkowie zarządu i osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa.
2. Zaplanuj szkolenie w każdym roku kalendarzowym, z zakresem obejmującym obowiązki wymienione w art. 8e ust. 2.
3. Zbieraj dowody: program, potwierdzenie obecności, zaświadczenie albo inny zapis. Ustawa nie określa formy dowodu, więc wybierz taką, którą pokażesz organowi.
4. Edukację personelu (art. 8 ust. 1 pkt 2 lit. i) dokumentuj osobno, jako zapisy operacyjne SZBI.

Kto dokładnie musi się szkolić, jak często i jak to udokumentować, opisujemy w artykule o obowiązkowym szkoleniu zarządu z KSC.

Błędy 7-8: dostawcy bez klauzul i kopie bez testu odtworzenia

Oba błędy łatwo przeoczyć w spokojnych miesiącach, bo ujawnia je dopiero incydent: włamanie u dostawcy albo atak, po którym trzeba odtworzyć dane.

Błąd 7. Dostawcy bez klauzul bezpieczeństwa

Przykład. Spółka dystrybuująca energię elektryczną zleca utrzymanie systemu rozliczeń zewnętrznej firmie IT. Umowa sprzed lat nie mówi nic o zgłaszaniu incydentów, zdalnym dostępie ani podwykonawcach. Gdy u dostawcy doszło do włamania, spółka dowiedziała się o nim po czterech dniach, z prasy.

Konsekwencje. SZBI ma zapewniać „bezpieczeństwo i ciągłość łańcucha dostaw produktów ICT, usług ICT i procesów ICT, od których zależy świadczenie usługi” (art. 8 ust. 1 pkt 2 lit. e), a wdrażając te środki, podmiot uwzględnia m.in. podatności związane z dostawcą i ogólną jakość jego produktów i usług (art. 8 ust. 2). Ministerstwo zaleca, by umowy zawierały „obowiązek dostawcy o niezwłocznym informowaniu o incydencie związanym z usługą dostawcy” (odpowiedź 6.5), a wśród postanowień wymienia też poufność, informowanie o podatnościach i wymogi wobec personelu (odpowiedź 3.3). Bez takich klauzul firma traci kontrolę nad zegarem zgłoszeń, bo informację o incydencie u dostawcy dostaje wtedy, kiedy dostawca zechce ją przekazać. Według ministerstwa weryfikacja niekaralności z art. 8f nie obejmuje personelu wykonawców, a bezpieczeństwo ludzi dostawcy zapewnia się przez umowę i zarządzanie ryzykiem łańcucha dostaw (odpowiedź 3.48). Za SZBI, który nie spełnia wymogów art. 8 ust. 1, ustawa przewiduje karę dla podmiotu (art. 73 ust. 1 pkt 3) i kierownika (art. 73a ust. 1 pkt 2).

Jak naprawić:

1. Załóż rejestr dostawców z kontaktami, dostarczanymi produktami i usługami oraz oceną krytyczności (odpowiedź 3.3).
2. Do umów z kluczowymi dostawcami dodaj aneksy: niezwłoczne informowanie o incydentach i podatnościach, zasady zdalnego dostępu, zgoda na podwykonawców, wymagania wobec personelu, kopie i ciągłość, zasady zakończenia współpracy.
3. Oceniaj dostawców przed podpisaniem umowy i okresowo, np. ankietą.
4. Przećwicz z dostawcą scenariusz incydentu po jego stronie: kto, kogo i w jakim czasie zawiadamia.

Gotowe pytania do firmy IT, hostingu i dostawcy chmury, razem z ankietą oceny, znajdziesz w artykule KSC a dostawcy: o co zapytać firmę IT, hosting i dostawcę chmury.

Błąd 8. Kopie zapasowe bez testu odtworzenia

Przykład. Zakład produkujący chemikalia robi kopie co noc na serwer plików w tej samej domenie co systemy produkcyjne. Po ataku oprogramowania szantażującego, które szyfruje dane (ransomware), okazało się, że kopie też są zaszyfrowane, a ostatni test odtworzenia wykonano przy wdrożeniu systemu cztery lata wcześniej.

Konsekwencje. W art. 8 nie pada słowo „kopia zapasowa”, ale ustawa wymienia „wdrażanie, dokumentowanie, testowanie i utrzymywanie planów ciągłości działania”, planów awaryjnych i planów odtworzenia działalności (art. 8 ust. 1 pkt 2 lit. f) oraz „stosowanie mechanizmów zapewniających poufność, integralność, dostępność i autentyczność danych” (art. 8 ust. 1 pkt 5 lit. a). Ministerstwo wskazuje, że w ramach tego obowiązku podmiot „powinien przykładowo dokonywać kopii zapasowej” (odpowiedź 3.3). Kopia, której nie da się odtworzyć, nie spełnia swojego celu, a plan bez testu nie spełnia wymogu testowania. Dla podmiotów ważnych publicznych załącznik nr 4 do ustawy wprost wymaga kopii odseparowanych i testowania możliwości odtworzenia danych, a ministerstwo tłumaczy, że kopia nie może być narażona „na te same ryzyka” co dane produkcyjne (odpowiedź 3.41). Do tego przerwa w świadczeniu usługi może oznaczać incydent poważny ze wszystkimi obowiązkami zgłoszeniowymi (art. 2 pkt 7, art. 11). Za SZBI bez wymaganych elementów ustawa przewiduje karę z art. 73 ust. 1 pkt 3 i art. 73a ust. 1 pkt 2.

Jak naprawić:

1. Przechowuj co najmniej jedną kopię tak, by nie dało się jej zaszyfrować z konta w domenie produkcyjnej, np. offline albo w osobnym środowisku.
2. Ustal z zarządem docelowy czas przywrócenia (RTO, czyli jak długo może trwać przerwa) i dopuszczalną utratę danych (RPO, czyli z jakiego momentu muszą być dane po odtworzeniu).
3. Testuj odtworzenie krytycznych systemów według planu i protokołuj czas, kompletność i problemy.
4. Po każdym teście popraw plan odtworzenia i dokumentację systemu zarządzania ciągłością działania (art. 10 ust. 3 pkt 3).

Błędy 9-10: źle liczone 24 godziny i czekanie na Trybunał

Ostatnie dwa błędy dotyczą czasu: pierwszy zegara zgłoszeń, drugi kalendarza całego projektu.

Błąd 9. Liczenie 24 godzin od niewłaściwego momentu

Przykład. Przedsiębiorstwo energetyczne, dawny operator usługi kluczowej, zleca monitorowanie zewnętrznemu dostawcy. W piątek o 22:40 analityk dostawcy rozpoznaje szyfrowanie plików na serwerach jako incydent. Kierownika IT zawiadamia w sobotę o 7:30. Zarząd zbiera się w poniedziałek o 9:00, uznaje incydent za poważny i dopiero od tej chwili zaczyna liczyć 24 godziny na wczesne ostrzeżenie.

Konsekwencje. Wczesne ostrzeżenie o incydencie poważnym podmiot zgłasza „niezwłocznie, niepóźniej niż w ciągu 24 godzin od momentu jego wykrycia”, a sam incydent w ciągu 72 godzin (art. 11 ust. 1 pkt 4 i 4a). Ministerstwo wyjaśnia, że moment wykrycia to moment, „w którym podmiot uzyskał informacje o zdarzeniu, które kwalifikuje się jako incydent”, także od dostawcy usługi, czyli „zidentyfikowanie zdarzenia jako incydent, a nie sam moment zaistnienia incydentu” (odpowiedź 6.5). Posiedzenie zarządu nie jest momentem wykrycia. W przykładzie informacja dotarła do firmy najpóźniej w sobotę o 7:30, więc termin wczesnego ostrzeżenia minął w niedzielę o 7:30, a termin zgłoszenia mija we wtorek o 7:30. Za spóźnienie ustawa przewiduje karę dla podmiotu (art. 73 ust. 1 pkt 6) i kierownika (art. 73a ust. 1 pkt 9), a niezgłoszenie incydentu poważnego jest w ustawie przykładem poważnego naruszenia (art. 53 ust. 12 pkt 1 lit. b). Firma traci też szybką pomoc, bo we wczesnym ostrzeżeniu można poprosić o wytyczne albo dodatkowe wsparcie techniczne (art. 12 ust. 2). Dawni operatorzy usług kluczowych zgłaszają incydenty według nowych zasad najpóźniej od 3 października 2026 r. (art. 33 ust. 4 ustawy nowelizującej), a pozostałe podmioty muszą mieć procedurę zgłoszeń gotową najpóźniej na 3 kwietnia 2027 r. (art. 33 ust. 1).

Jak naprawić:

1. W procedurze wskaż, kto zapisuje moment wykrycia (data, godzina, źródło informacji), kto klasyfikuje incydent według progów (art. 11 ust. 1 pkt 3) i kto wysyła wczesne ostrzeżenie.
2. Upoważnij te osoby do wysłania wczesnego ostrzeżenia bez czekania na posiedzenie zarządu. Zarząd informuj równolegle.
3. W umowie z dostawcą monitorowania zapisz obowiązek niezwłocznego informowania, kanał i czas reakcji.
4. Przygotuj konta w S46 dla co najmniej dwóch osób i przećwicz zgłoszenie w ćwiczeniu przy stole, czyli symulacji przy stole.

Uwaga na progi: nowe rozporządzenie o progach uznania incydentu za poważny jest na etapie projektu, a rozporządzenie z 2018 r. obowiązuje najdłużej do 3 kwietnia 2027 r. (art. 32 pkt 1 ustawy nowelizującej, stan na październik 2026 r.). Co zarząd powinien zrobić w pierwszych godzinach po wykryciu, opisujemy w artykule incydent cyberbezpieczeństwa: co robi zarząd w pierwszych godzinach.

Błąd 10. Czekanie na Trybunał Konstytucyjny i rozporządzenia

Przykład. Zarząd producenta urządzeń elektrycznych zatrudniającego 600 osób wstrzymał projekt do czasu wyroku Trybunału Konstytucyjnego i wydania rozporządzeń, bo „przepisy mogą się jeszcze zmienić”.

Konsekwencje. Wniosek Prezydenta do Trybunału Konstytucyjnego (sprawa K 19/26, wpływ 21 lipca 2026 r.) dotyczy procedury i skutków uznania za dostawcę wysokiego ryzyka (art. 67b, 67c, 67e), polecenia zabezpieczającego (art. 67g) oraz definicji produktu, usługi i procesu ICT. Nie obejmuje katalogu sektorów, SZBI, szkolenia kierownika, zgłaszania incydentów ani kar. Według stanu na 12 października 2026 r. sprawa jest w toku, bez rozprawy i bez orzeczenia, a ustawa obowiązuje. Z rozporządzeniami jest podobnie. Szczegółowe wymagania dla SZBI Rada Ministrów „może” określić w rozporządzeniu (art. 8a), ale nie musi, a w sprawach dokumentacji, wykazu, szkolenia kierownika i osób do kontaktu ustawa w ogóle nie przewiduje rozporządzeń. Spośród rozporządzeń ważnych dla firm w toku jest projekt o progach incydentu poważnego. Terminy biegną: obowiązki z rozdziału 3 do 3 kwietnia 2027 r. (art. 33 ust. 1 ustawy nowelizującej), pierwszy audyt podmiotów kluczowych do 3 kwietnia 2028 r. (art. 33 ust. 2). Moratorium z art. 35 tego nie zmienia, bo wstrzymuje tylko nakładanie kar, a nie bieg terminów.

Jak naprawić:

1. Podziel plan na część niezależną od sporu przed Trybunałem (SZBI, szkolenie, incydenty, dokumentacja, dostawcy) i część zależną (dostawca wysokiego ryzyka, polecenia zabezpieczające). Pierwszą realizuj bez czekania.
2. Wyznacz osobę, która śledzi Dziennik Ustaw, komunikaty Ministerstwa Cyfryzacji i sprawę przed Trybunałem, z krótkim raportem dla zarządu raz na kwartał.
3. Przygotuj inwentaryzację sprzętu i oprogramowania. Przyda się w każdym scenariuszu, bo zarządzanie aktywami jest częścią SZBI (art. 8 ust. 1 pkt 2 lit. m).

Stan sprawy można sprawdzić na stronie sprawy K 19/26 w serwisie trybunal.gov.pl.

Jak sprawdzić, czy Twoja organizacja nie popełnia tych błędów

Każdy z dziesięciu błędów zostawia ślad w dokumentach albo ślad po brakującym dokumencie. Tabela zamienia listę na pytania kontrolne. Jeżeli dowodu nie ma, błąd prawdopodobnie występuje.

Kolejność napraw ustal według terminów. Najpierw status i wpis do wykazu (błędy 1 i 2), bo termin wpisu już minął. Potem procedura zgłoszeń (błąd 9) i szkolenie kierownika (błąd 6), które mają wyraźne terminy, a następnie pozostałe elementy rozdziału 3, które trzeba wykonać do 3 kwietnia 2027 r. Przegląd warto powtórzyć po kwartale, bo część braków wyjdzie dopiero przy pierwszych zapisach operacyjnych.

Podstawa prawna i źródła

• art. 5 ust. 1-2, 5-7 ustawy o KSC i art. 6 ust. 2 załącznika I do rozporządzenia Komisji (UE) nr 651/2014 - status i wielkość podmiotu
• art. 7c, art. 7j i art. 43 ust. 1 ustawy o KSC - wniosek o wpis, wpis przez organ, informacje do oceny statusu
• art. 8 ust. 1-2 i art. 10 ustawy o KSC - SZBI, łańcuch dostaw, ciągłość działania, dokumentacja
• art. 8c-8e ustawy o KSC - odpowiedzialność i zadania kierownika, szkolenie kierownika
• art. 11-12 ustawy o KSC - wczesne ostrzeżenie, zgłoszenie, treść zgłoszeń
• art. 53 ust. 9 i 12, art. 73, art. 73a, art. 73b i art. 76a ustawy o KSC - środki nadzorcze i kary
• art. 32 pkt 1, art. 33 ust. 1-4 i art. 35 ustawy nowelizującej - progi incydentu, terminy, pierwsze kary
• Ustawa o krajowym systemie cyberbezpieczeństwa, tekst ujednolicony, stan na 8.10.2026 (Sejm, ELI)
• Ustawa nowelizująca z 23 stycznia 2026 r., Dz.U. 2026 poz. 252
• Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, aktualizacja październik 2026
• Komunikat Ministra Cyfryzacji w sprawie harmonogramu wpisów do wykazu, Dz. Urz. MC 2026 poz. 7
• System S46: zgłoszenie incydentu
• Trybunał Konstytucyjny, sprawa K 19/26